Чек-лист реквизитов согласия по ст. 9 152-ФЗ
С 01.09.2025 вступили в силу изменения, внесённые ФЗ-156 от 24.06.2025: согласие на обработку персональных данных оформляется исключительно отдельным документом. Старые формы, включённые в текст трудового договора или приложения к нему, не отвечают новым требованиям. Для HR-директора это означает пересмотр всего пакета кадровой документации: согласий при приёме на работу, согласий для КЭДО, отдельных форм для биометрии в СКУД и видеонаблюдения. В этой инструкции — пошаговый чек-лист реквизитов согласия и разбор типичных ошибок по каждому пункту.
Что изменилось в требованиях к согласию после 01.09.2025?
До вступления в силу ФЗ-156 многие операторы включали согласие в текст трудового договора или использовали единый документ, охватывающий несколько оснований обработки. ФЗ-156 закрыл эту практику: ст. 9 ФЗ-152 теперь прямо указывает, что согласие оформляется самостоятельным документом — не объединяется с договором, политикой или офертой.
Для HR-департамента последствия конкретные. Согласие работника на обработку данных в HR-системе, согласие на передачу данных в зарплатный проект и согласие на биометрию в СКУД — три разных документа с разными целями. Объединить их нельзя. Ранее выданные согласия, оформленные в составе трудового договора, переоформлять не требуется — закон не имеет обратной силы. Но все новые согласия с 01.09.2025 должны соответствовать актуальным требованиям.
Параллельно с 30.05.2025 действует обновлённая ст. 13.11 КоАП (ФЗ-420 от 30.11.2024). Ч. 2 ст. 13.11 карает за обработку данных без письменного согласия или с нарушением требований к его составу — штраф для юридического лица 300 000–700 000 ₽. Ч. 2.1 — повторное нарушение — 1 000 000–1 500 000 ₽. По данным РКН, в 2024 году зафиксировано 135 случаев утечек и более 710 млн записей; проверки HR-департаментов входят в число приоритетных направлений контроля.
Согласия работников оформлены до 01.09.2025 и встроены в договор?
Если HRD не обновил формы согласий после вступления в силу ФЗ-156 — каждый новый работник, принятый с 01.09.2025, создаёт основание для штрафа по ч. 2 ст. 13.11 КоАП (до 700 000 ₽). Срок проверки РКН не предупреждают заранее. Юристы DATUM соберут пакет согласий по новым требованиям и проведут аудит ОРД HR-департамента.
Заказать аудит 152-ФЗ+7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Шаг 1. Проверьте идентификацию субъекта и оператора
Первый блок реквизитов — идентификационные сведения о субъекте и операторе. Их отсутствие или неполнота делает согласие юридически ничтожным.
Субъект (работник). Согласие должно содержать фамилию, имя и отчество работника — не «ФИО», не «сотрудник», не «работник». Полностью, как в паспорте. Дополнительно — контактные данные: адрес, телефон или адрес электронной почты. Хотя бы один контакт обязателен — он нужен для отзыва согласия и ответа на запрос субъекта.
Оператор. Полное наименование юридического лица или Ф.И.О. индивидуального предпринимателя. Адрес нахождения (юридический адрес из ЕГРЮЛ). ИНН — для однозначной идентификации при наличии одноимённых организаций. Если обработка ведётся через обработчика по поручению — его данные указываются отдельно.
Типичная ошибка: форма согласия содержит только наименование компании без адреса, или адрес указан кратко — «г. Москва» — без улицы и номера дома. Такой реквизит РКН признаёт неполным.
Шаг 2. Укажите цель обработки и перечень данных
Цель обработки — центральный реквизит согласия. Ст. 5 ФЗ-152 устанавливает принцип соответствия: объём обрабатываемых данных должен соответствовать заявленной цели. Неопределённая цель или цель-«всё подряд» нарушает этот принцип.
Как формулировать цель. Конкретно, а не абстрактно. Не «обработка персональных данных в целях трудовых отношений» — это пересказ закона, а не цель. Правильно: «ведение кадрового учёта и выполнение обязательств работодателя по трудовому договору», «передача данных в банк для зачисления заработной платы на счёт работника», «учёт рабочего времени с использованием системы контроля доступа».
Перечень данных. Не «персональные данные» или «данные, необходимые для работы». Конкретный перечень: фамилия, имя, отчество; дата рождения; паспортные данные; СНИЛС; ИНН; адрес регистрации; сведения об образовании; реквизиты банковского счёта — то, что действительно обрабатывается в рамках данной цели. Излишние категории — нарушение ч. 5 ст. 5 ФЗ-152 (принцип минимизации).
Отдельные цели — отдельные согласия. Если компания ведёт воинский учёт, направляет данные в страховую компанию по ДМС и использует систему видеонаблюдения — три цели, три согласия. Объединение допустимо только в том случае, если цели однородны и данные одни и те же.
Шаг 3. Зафиксируйте перечень действий и способы обработки
Согласие должно описывать, что именно оператор будет делать с данными. Ст. 9 ФЗ-152 требует указать перечень действий (операций) с персональными данными и общее описание используемых способов обработки.
Действия (операции). Стандартный перечень для кадрового делопроизводства: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача, блокирование, удаление, уничтожение. Указывайте только реально применяемые — если передача третьим лицам не предусмотрена, не включайте её.
Способы обработки. Автоматизированная, неавтоматизированная или смешанная. Если данные обрабатываются в кадровой информационной системе — автоматизированная. Если частично в бумажных папках — смешанная. Указание способа влияет на технические меры защиты и уровень защищённости ИСПДн по ПП РФ № 1119.
Передача третьим лицам. Если данные передаются в банк, страховую компанию, пенсионный фонд, медицинскую организацию — каждый получатель должен быть поимённо указан или описан как категория (например, «банки, выбранные работником для получения заработной платы»). Безымянная «передача третьим лицам» без конкретизации — нарушение ст. 6 ФЗ-152.
Шаг 4. Проверьте срок действия и порядок отзыва
Два реквизита, которые чаще всего пропускают: срок действия согласия и механизм его отзыва.
Срок действия. Согласие действует в течение указанного срока или до достижения цели обработки. Формулировка «бессрочно» — допустима при наличии объективного обоснования (например, хранение архива личных дел 75 лет по требованиям трудового законодательства). Отсутствие срока — нарушение требований к реквизитам. Рекомендуемая формулировка для HR: «в течение срока трудовых отношений и NN лет после их прекращения».
Порядок отзыва. Ст. 9 ч. 2 ФЗ-152 устанавливает право субъекта отозвать согласие в любой момент. В тексте согласия должен быть прописан механизм: куда направить заявление, в какой форме (письменное заявление, обращение по электронной почте), кто его получает и в течение какого срока оператор обязан прекратить обработку. По ст. 20 ФЗ-152 оператор рассматривает обращение субъекта в течение 10 рабочих дней. Отсутствие указания на способ отзыва — нарушение ст. 9 ч. 4.
Последствия отзыва. После отзыва согласия оператор обязан прекратить обработку и уничтожить данные, если нет иного правового основания их хранить. В HR это означает разграничение: часть данных обрабатывается на основании согласия, часть — на основании ст. 22 ТК РФ и ст. 86–88 ТК РФ как исполнение требований закона. Данные в трудовой книжке и личном деле не требуют согласия — они хранятся по требованиям архивного и трудового законодательства.
Если HR-директор не уверен, какие данные обрабатываются на основании согласия, а какие — по ст. 86–88 ТК РФ, это пробел в ОРД. При проверке РКН каждый неосновательно полученный реквизит — отдельный состав по ч. 1 ст. 13.11 (до 300 000 ₽). Разграничение оснований обработки — обязательный элемент аудита.
Заказать аудит 152-ФЗШаг 5. Проверьте специальные согласия: КЭДО, биометрия СКУД, видеонаблюдение
Три категории обработки в HR требуют отдельных согласий с дополнительными реквизитами.
КЭДО (кадровый электронный документооборот). Ст. 22.2 ТК РФ устанавливает порядок подключения работников к КЭДО: требуется либо согласие работника, либо уведомление с правом отказа — в зависимости от категории работника. Параллельно — согласие по ФЗ-152 на обработку данных в информационной системе КЭДО и на передачу данных оператору информационной системы (если используется внешний провайдер). Два документа — трудовой (ст. 22.2 ТК) и персональный (ст. 9 ФЗ-152) — не взаимозаменяемы.
Биометрия в СКУД. Отпечатки пальцев и геометрия руки в системе контроля доступа — биометрические персональные данные по ст. 11 ФЗ-152. Для их обработки требуется письменное согласие с отдельным указанием: вид биометрии, цель (контроль доступа в помещение), оборудование (наименование системы), срок хранения шаблонов. Ст. 11 ФЗ-152 прямо указывает на необходимость письменной формы. Отсутствие или ненадлежащий состав такого согласия — штраф по ч. 2 ст. 13.11 (300 000–700 000 ₽) либо по ч. 16 за нарушение требований к биометрии.
Видеонаблюдение. Видеозапись лица работника — биометрические данные при условии, что система идентификации привязана к личности. Простое видеонаблюдение для охраны — иное: согласие может не требоваться, если соблюдён принцип информирования (уведомление о ведении съёмки на входе). Обрабатываете видеозаписи с идентификацией по лицу — нужно согласие с реквизитами ст. 11 ФЗ-152.
Чек-лист реквизитов согласия по ст. 9 ФЗ-152
- ФИО субъекта полностью (как в паспорте) + контактные данные (адрес, телефон или email)
- Полное наименование оператора, юридический адрес, ИНН; при наличии обработчика — его данные
- Конкретная цель обработки — не «трудовые отношения», а конкретная операция или передача
- Исчерпывающий перечень персональных данных — не «данные работника», а пофамильный список категорий
- Перечень действий с данными (сбор, хранение, передача и др.) + способ обработки (автоматизированный / неавтоматизированный)
- Срок действия согласия или указание на событие, при котором оно прекращается
- Порядок отзыва: куда, в какой форме, в какой срок оператор прекратит обработку
Типичные ситуации: как HR-директор сталкивается с нарушениями
Ситуация 1. Согласие встроено в трудовой договор. HR-служба торгово-производственного холдинга (Приволжский ФО, осень 2025) использовала форму трудового договора с разделом «Согласие на обработку персональных данных». После вступления в силу ФЗ-156 РКН при плановой проверке зафиксировал нарушение требований к составу согласия по ч. 2 ст. 13.11 КоАП. Согласия новых работников, принятых с 01.09.2025, признаны ненадлежащими. Протокол составлен по каждому работнику, принятому в проверяемый период. Штраф — в диапазоне нескольких сотен тысяч рублей. Стратегия: немедленное переоформление для работников, принятых после 01.09.2025; разработка отдельных форм для каждой цели обработки.
Ситуация 2. Отсутствует отдельное согласие на биометрию СКУД. IT-компания (Центральный ФО, начало 2026) установила систему контроля доступа по отпечатку пальца. Согласие на обработку биометрии не оформлялось — руководство считало, что стандартного согласия в трудовом договоре достаточно. При внеплановой проверке по жалобе уволенного работника РКН установил нарушение ст. 11 ФЗ-152. Дело квалифицировано по ч. 16 ст. 13.11 КоАП. Стратегия: разработка отдельной формы биометрического согласия с указанием вида биометрии, оборудования, срока хранения; подписание работниками до начала использования СКУД.
Услуги DATUM по теме
- Аудит соответствия 152-ФЗ — проверка пакета согласий и ОРД HR-департамента по чек-листу
- Комплект ОРД под ключ — разработка форм согласий для всех HR-процессов
- DPO-аутсорсинг — ответственный за обработку ПДн на абонентском обслуживании
Частые вопросы
1. Нужно ли переподписывать согласия работников после 01.09.2025?
Нет. ФЗ-156 от 24.06.2025 не имеет обратной силы: согласия, оформленные до 01.09.2025, сохраняют юридическую силу в том виде, в каком они были получены. Переоформление требуется только для новых согласий, выдаваемых с 01.09.2025, и для случаев, когда оператор меняет цель или объём обработки. Если согласие встроено в трудовой договор и выдано до 01.09.2025 — оно действует. Если тот же договор подписывается с новым работником после 01.09.2025 — согласие должно быть отдельным документом по требованиям ст. 9 ФЗ-152 в актуальной редакции.
2. Какие данные нельзя спрашивать в анкете при приёме на работу?
Ст. 86 ТК РФ запрещает работодателю получать и обрабатывать персональные данные о политических, религиозных и иных убеждениях, частной жизни работника без его явного согласия, а также о членстве в общественных объединениях и профсоюзной деятельности — за исключением случаев, предусмотренных законом. Эти категории относятся к специальным по ст. 10 ФЗ-152 и обрабатываются только при наличии исключений п. 2 ст. 10. Вопросы о состоянии здоровья допустимы только в объёме, необходимом для оценки способности к выполнению трудовых обязанностей или обеспечения обязательного социального страхования.
3. Можно ли вести видеонаблюдение в офисе без согласия работников?
Зависит от цели и технологии. Видеонаблюдение для охраны имущества и обеспечения безопасности без идентификации личности по лицу — допустимо без согласия при обязательном информировании работников (уведомление о ведении съёмки). Достаточно приказа по организации и таблички при входе. Если система распознаёт лица и привязывает видеозапись к конкретному лицу — это биометрические данные по ст. 11 ФЗ-152. Обработка допустима только с письменного согласия с указанием конкретной цели (учёт рабочего времени, контроль доступа).
4. Сколько хранить согласия после увольнения работника?
Согласие на обработку персональных данных хранится не менее трёх лет со дня его подписания или до истечения срока, установленного в самом документе. Личное дело работника хранится 75 лет по нормам архивного законодательства — но это не означает, что согласие нужно хранить так же долго. Рекомендуемый подход: хранить согласие в течение срока обработки персональных данных плюс срок исковой давности (3 года). Если данные работника продолжают обрабатываться после увольнения (например, архив кадровых документов), согласие или иное основание должно сохраняться на весь период обработки.
5. Кто является оператором при использовании КЭДО через внешнего провайдера?
Оператором остаётся работодатель — он определяет цели обработки персональных данных работников. Внешний провайдер КЭДО (разработчик информационной системы, облачный сервис) действует как лицо, осуществляющее обработку по поручению оператора по ст. 6 ч. 3 ФЗ-152. С ним необходимо заключить договор-поручение, который устанавливает обязанности по защите данных, перечень допустимых действий и запрет на использование данных в собственных целях. Ответственность перед работником и РКН несёт работодатель-оператор, даже если утечка произошла на стороне провайдера.
6. Что включить в согласие на передачу данных в зарплатный проект?
Цель: перечисление заработной платы на банковский счёт работника. Данные: ФИО, дата рождения, паспортные данные, СНИЛС, реквизиты счёта. Действия: сбор, хранение, передача. Получатель: конкретное наименование банка. Срок: в течение действия трудовых отношений плюс срок хранения финансовых документов. Порядок отзыва. Если работник меняет банк — потребуется новое согласие с указанием нового получателя. По ст. 9 ФЗ-152 субъект вправе в любой момент отозвать согласие; в этом случае работодатель обязан использовать иной законный способ выплаты заработной платы.
Итог
Согласие по ст. 9 ФЗ-152 — не формальность, а рабочий юридический документ с исчерпывающим перечнем реквизитов. Пропущенный реквизит или неправильная форма превращают согласие в ничтожный документ, а каждый работник с ненадлежащим согласием — в отдельный состав по ч. 2 ст. 13.11 КоАП (до 700 000 ₽). После 01.09.2025 риск удвоился: согласие в трудовом договоре больше не действует для новых работников.
DATUM сопровождает HR-директоров в разработке форм согласий под каждый HR-процесс: приём на работу, КЭДО, зарплатные проекты, биометрия СКУД, видеонаблюдение. Мы проверяем действующий пакет ОРД по чек-листу из 38 пунктов и выдаём заключение с приоритетами устранения нарушений до первой проверки РКН.
14 января 2028 года